Con la pubblicazione in Gazzetta Ufficiale del D.Lgs. 30 dicembre 2025, n. 211 (G.U. Serie Generale n. 6 del 9 gennaio 2026) il legislatore italiano ha dato attuazione alla direttiva (UE) 2024/1226 sulla definizione dei reati e delle sanzioni per la violazione delle misure restrittive dell'Unione, intervenendo in modo strutturale su più piani: (i) l'architettura delle fattispecie penali, (ii) le regole di punibilità – con un'attenzione non marginale ai profili colposi – e (iii) la responsabilità degli enti ex D.Lgs. 231/01, che viene esplicitamente estesa alle nuove condotte, con un meccanismo sanzionatorio in parte inedito.

Il nuovo perimetro penale: tutela autonoma delle misure restrittive UE

Il decreto colloca le nuove incriminazioni direttamente nel codice penale, introducendo nel Libro II, Titolo I, il nuovo Capo I-bis, rubricato «Delitti contro la politica estera e la sicurezza comune dell'Unione europea», con l'obiettivo di superare l'approccio frammentario precedente e di attribuire alle misure restrittive una tutela penale autonoma, coerente con le esigenze di omogeneizzazione dell'enforcement maturate in sede unionale. 

In questa cornice, il legislatore delinea un apparato incriminatorio articolato, volto a presidiare in modo unitario l'effettività delle misure restrittive dell'Unione europea e, sul piano applicativo, destinato a intercettare soprattutto gli operatori del commercio internazionale, i gruppi industriali con supply chain transnazionali e gli intermediari finanziari.

Le fattispecie introdotte coprono, anzitutto, le condotte di violazione diretta dei divieti economici e commerciali imposti dai regolamenti unionali – quali l'esportazione, l'importazione, il trasferimento o il transito di beni e tecnologie soggetti a restrizione, nonché la prestazione di servizi vietati – e le correlate ipotesi di mancato rispetto degli obblighi di congelamento e di messa a disposizione, diretta o indiretta, di fondi o risorse economiche in favore di persone fisiche o giuridiche designate (art. 275-bis c.p.). Il legislatore incrimina altresì le violazioni di specifici obblighi informativi connessi all'applicazione delle misure restrittive (art. 275-ter c.p.), nonché le condotte poste in essere in violazione delle condizioni previste nelle autorizzazioni rilasciate dalle autorità competenti (art. 275-quater c.p.). Il quadro incriminatorio è infine completato da una fattispecie autonoma che estende la rilevanza penale alla violazione colposa, punibile a titolo di colpa grave, delle misure restrittive dell'Unione europea (art. 275-quinquies c.p.), in linea con l'impostazione preventiva e sistemica della direttiva di riferimento.

L'innesto nel D.Lgs. 231/2001: l'art. 25-octies.2

Il fulcro dell'intervento sul sistema della responsabilità amministrativa degli enti è rappresentato dall'art. 6 D.Lgs. 211/2025, che incide sull'assetto del D.Lgs. 231/2001 secondo una triplice direttrice: in primo luogo, l'ampliamento del catalogo dei reati presupposto mediante l'introduzione del nuovo art. 25-octies.2; in secondo luogo, l'introduzione di un criterio generale di commisurazione delle sanzioni pecuniarie fondato su percentuali del fatturato globale; in terzo luogo, il coordinamento e il rafforzamento della disciplina delle sanzioni interdittive. 

Il nuovo art. 25-octies.2 prevede la responsabilità dell'ente in relazione alla commissione dei delitti del codice penale contro la politica estera e la sicurezza comune dell'UE - ossia le nuove fattispecie in materia di misure restrittive previste dal citato Capo I-bis - stabilendo sanzioni pecuniarie parametrate al fatturato globale:

• dall'1% al 5% del fatturato globale per la violazione, tra gli altri, degli artt. 275-bis (in specifici commi) e 275-quater c.p., nonché dell'art. 12, comma 1-bis del D.Lgs. 286/98;
• dallo 0,5% all'1% del fatturato globale per la violazione dell'art. 275-ter c.p. (primo e secondo comma). 

Se il fatturato globale annuo non è accertabile, il decreto prevede soglie assolute molto elevate: da 3 a 40 milioni (per il primo gruppo di reati) e da 1 a 8 milioni (per il secondo). 

Il D.Lgs. 211/2025, pertanto, non si limita ad aggiungere nuove fattispecie di reati presupposto ma segna il superamento del sistema “a quote” come criterio esclusivo rimodellando il sistema di commisurazione della sanzione pecuniaria, allineandolo a modelli sanzionatori di matrice unionale dove il volume d'affari è la metrica-chiave dell'effettività.

Con l'inserimento del nuovo comma 3-bis nell'art. 10 del D.Lgs. 231/2001, si stabilisce che, nei casi previsti dalla legge, la sanzione pecuniaria è determinata in percentuale del fatturato globale totale dell'ente, riferito all'esercizio precedente al reato (o, se inferiore, a quello precedente l'applicazione della sanzione).

Accanto alla pecuniaria, l'art. 25-octies.2 introduce un regime interdittivo particolarmente incisivo: in caso di condanna, si applicano le sanzioni di cui all'art. 9, comma 2, (interdizione dall'esercizio dell'attività; sospensione o revoca delle autorizzazioni, licenze o concessioni funzionali alla commissione dell'illecito; divieto di contrattare con la pubblica amministrazione; esclusione da agevolazioni, finanziamenti, contributi o sussidi e l'eventuale revoca di quelli già concessi; divieto di pubblicizzare beni o servizi) per una durata da 2 a 6 anni se il reato è commesso da soggetti apicali e da 1 a 3 anni se commesso da soggetti sottoposti all'altrui direzione o vigilanza. È inoltre previsto un aumento di un terzo delle sanzioni pecuniarie in caso di reiterazione. 

L'impatto sui modelli 231 e sui controlli interni

L'entrata in vigore del D.Lgs. 211/2025 (il 24 gennaio 2026) impone alle imprese, in particolare a quelle operanti in settori esposti ai regimi sanzionatori unionali, una revisione sostanziale dei propri assetti organizzativi e dei sistemi di compliance, in linea con un approccio preventivo già sperimentato in ambito doganale e nella disciplina di contrasto al contrabbando. Il nuovo quadro normativo richiede, anzitutto, lo svolgimento di un'analisi strutturata dei rischi, mediante attività di risk assessment specificamente dedicate alla violazione delle misure restrittive dell'Unione europea, che tengano conto dei prodotti e delle tecnologie trattate, delle aree geografiche coinvolte, delle controparti nonché delle modalità operative e finanziarie delle transazioni.

In tale contesto, assume particolare rilievo la scelta del legislatore di attribuire rilevanza penale anche a profili di punibilità colposa (il citato art. 275-quinquies c.p.) in ambiti connotati da un'elevata componente tecnica e procedurale, con la conseguenza che il rischio 231 non può più essere presidiato facendo esclusivo riferimento all'intenzionalità delle condotte, ma richiede un'attenta considerazione delle carenze organizzative, dei difetti di screening, degli errori di classificazione o valutazione e delle omissioni nei controlli.

Ne discende la necessità di aggiornare la Parte speciale dei modelli di organizzazione, gestione e controllo ex D.Lgs. 231/2001, con l'integrazione delle nuove fattispecie penali e la definizione di protocolli idonei a presidiare l'intero processo operativo, dalla fase di selezione delle controparti fino all'esecuzione delle operazioni e alla gestione delle eventuali anomalie.

Infine, si richiama la necessità di procedere alla revisione del codice etico, mediante l'introduzione di specifici principi di condotta in materia di sanzioni economiche internazionali, e il rafforzamento dei sistemi di controllo interno e di governance, con particolare attenzione alla tracciabilità delle decisioni, ai flussi informativi verso l'organismo di vigilanza, alle attività di formazione e audit e alla corretta allocazione di deleghe e responsabilità. In tale prospettiva, la prassi applicativa ha già evidenziato la necessità di procedere a tempestive gap analysis dei presidi esistenti, al fine di assicurare un adeguamento coerente ed effettivo ai nuovi obblighi introdotti dal decreto.